Cuando los estafadores se hacen pasar por tu negocio: lo que enseña el caso de los novios de Salamanca

Una pareja con raíces en Salamanca y Sevilla pagó la señal de su boda a una cuenta que no era la del espacio que había contratado. Los estafadores habían interceptado sus correos con el recinto, usaron una dirección con un dominio prácticamente idéntico al legítimo y les enviaron nuevas instrucciones de pago. Además del dinero, los novios llegaron a remitir el contrato, copias de sus DNI y el justificante de la transferencia. El engaño se descubrió días después, cuando el espacio de bodas, que no había recibido nada, contactó con ellos por otra vía. La CiberComandancia de la Guardia Civil lo investiga como un fraude de tipo BEC, según informó SALAMANCArtv AL DÍA.

El caso muestra una cara del fraude por correo que muchas empresas no tienen en cuenta: la víctima directa fue el cliente, pero la identidad que se usó fue la del negocio.

Un fraude que se apoya en la confianza en tu marca

En este tipo de estafas, el delincuente no necesita atacar al cliente con un mensaje extraño. Le basta con colarse en una conversación que ya existe y en la que ambas partes confían. Los investigadores describieron que los estafadores mantenían a la vez dos cuentas falsas, una que imitaba al recinto ante los novios y otra que imitaba a los novios ante el recinto. Cada parte creía estar hablando con la otra.

Para un hotel, un restaurante que organiza banquetes, una academia, una inmobiliaria o un taller que cobra por adelantado, el riesgo es evidente. Si un cliente pierde dinero creyendo que pagaba al negocio, el daño económico es suyo, pero la desconfianza y las reclamaciones recaen sobre la empresa suplantada, aunque no haya hecho nada mal.

Qué puede hacer la empresa para que sea más difícil suplantarla

La primera medida es que los clientes sepan reconocer con claridad desde dónde escribe el negocio. Un correo corporativo con el dominio de la empresa, usado de forma coherente por todo el equipo, permite comunicar una regla sencilla: los mensajes oficiales solo llegan desde esa dirección. Con un dominio propio también es posible publicar los registros técnicos que indican a los servidores de correo qué mensajes son auténticos, de modo que los que intentan hacerse pasar por ese mismo dominio tengan más difícil llegar a la bandeja de entrada. Algunos servicios añaden cifrado de extremo a extremo, útil cuando por el correo circulan contratos y copias de documentos de identidad, como ocurrió en este caso.

Pero el caso de Salamanca deja claro que el dominio propio no es suficiente por sí solo, porque los estafadores usaron otro muy parecido. El INCIBE, en su dosier sobre fraude y gestión de la identidad online dentro de la colección Protege tu empresa, advierte del registro abusivo de dominios que coinciden total o parcialmente con una marca y de los enlaces con una sola letra cambiada. Vigilar esas variantes y, en la medida de lo posible, registrar las más evidentes forma parte de la protección del negocio.

Mensajes que conviene repetir a los clientes

Las medidas técnicas funcionan mejor cuando van acompañadas de unas pocas instrucciones claras para los clientes, incluidas en los contratos, las confirmaciones de reserva y la web:

• Los datos bancarios del negocio no cambian por correo; cualquier aviso en ese sentido debe confirmarse por teléfono.
• Las comunicaciones oficiales solo llegan desde el dominio de la empresa, y conviene fijarse en él letra a letra.
• Ante cualquier duda sobre un pago, el cliente debe llamar al número que figura en el contrato o en la web oficial, no al que aparezca en el mensaje.
• La empresa nunca pide copias del DNI ni de documentos personales por un canal distinto del habitual.

Dentro del negocio, la regla debe ser la misma: cualquier cambio en los datos de pago de un cliente o de un proveedor se verifica por un segundo canal antes de aceptarlo.

Si el engaño ya ha ocurrido

Cuando una empresa descubre que la están suplantando, lo prioritario es avisar cuanto antes a los clientes afectados y al banco, conservar los correos y justificantes y denunciarlo. La Guardia Civil permite presentar denuncias por estafas a través de su sede electrónica, disponible las veinticuatro horas, y la rapidez es importante para intentar seguir el rastro del dinero. Después llega el momento de revisar qué falló: si el buzón de la empresa pudo verse comprometido, si los clientes sabían cómo verificar los pagos y si existen dominios parecidos al propio en manos de terceros.

Para los negocios de Salamanca que trabajan con señales y pagos por adelantado, este caso es un buen motivo para revisar cómo se comunican con sus clientes antes de la próxima temporada de reservas.